Un cliente solicita información de seguridad antes de contratarte o renovar el contrato. El reto es responder con evidencias que correspondan al servicio ofrecido, sin afirmar controles que no has comprobado ni compartir documentación sensible de forma indiscriminada.
Plantilla de respuestas y evidencias
Descargar registro de respuestas a cuestionarios de seguridad (Excel .xlsx). Abre el libro en Excel o LibreOffice y empieza por la pestaña Inicio. No incluyas contraseñas, claves, registros personales ni detalles que permitan atacar tus sistemas. Conserva las evidencias en un repositorio con acceso autorizado y referencia su ubicación.
Cómo usar la plantilla: solo dos pasos
- Inicio: completa empresa, proyecto y responsables. Selecciona sector, tamaño, momento de revisión y objetivo mediante desplegables. La fecha objetivo es opcional hasta acordarla.
- Responder: elige Sí, comprobado; Parcial; No; No lo sé; o No aplica. Añade una referencia si afirmas que está comprobado y una explicación si no aplica.
Las pestañas Resultado y Plan se completan automáticamente. Proponen qué aclarar o preparar, prioridad, responsable de la ficha y fecha objetivo. No necesitas volver a copiar esos datos. Las propuestas deben validarse con el equipo.
Las celdas azules son editables. Las calculadas están protegidas para evitar borrados accidentales; puedes desproteger la hoja sin contraseña si necesitas adaptarla. Filtra el plan para revisar las prioridades. El ejemplo de Inicio muestra cómo responder cuando aún no tienes evidencia.
El libro no requiere macros ni conexiones de datos externas. Ábrelo en Excel o LibreOffice de escritorio para recalcular. Las recomendaciones se basan en reglas de tus respuestas: no verifican documentos ni aprueban por ti un proyecto, contrato o respuesta al cliente.
Un proceso de seis pasos
- Delimita el alcance. Confirma qué servicio, sistemas, ubicaciones y datos cubre el cuestionario. Una respuesta válida para un sistema puede no serlo para otro.
- Asigna responsables. Separa preguntas que debe contestar dirección, IT, el proveedor o la persona que gestiona privacidad. Fija quién valida la respuesta final.
- Reúne evidencias. Relaciona cada afirmación con un documento o comprobación vigente. Una política escrita y su aplicación efectiva son evidencias distintas.
- Distingue estados. Usa confirmado, parcial, pendiente o no aplicable con justificación. Si el formulario exige sí/no, explica las limitaciones por el canal permitido.
- Acuerda acciones. Para las carencias relevantes indica responsable, siguiente paso y fecha propuesta. Un compromiso futuro no equivale a un control implantado.
- Revisa antes de entregar. Contrasta consistencia, fechas y autorizaciones para compartir cada anexo. Guarda la versión remitida y el alcance de los compromisos asumidos.
Preguntas que requieren evidencias concretas
¿Tenéis copias de seguridad?
Identifica qué sistemas cubren, quién supervisa su resultado y qué prueba de restauración se ha realizado. Tener un servicio contratado no demuestra que todos los sistemas críticos puedan recuperarse.
¿Cómo se retiran los accesos?
Revisa el proceso de baja y una comprobación autorizada de su ejecución. Incluye cuentas de proveedores cuando estén dentro del alcance.
¿Disponéis de un plan de incidentes?
Comprueba responsables, contactos, criterios de escalado y revisión del procedimiento. No presentes un documento sin responsables vigentes como un proceso probado.
Ejemplo de respuesta prudente
Ejemplo ilustrativo, no evidencia de un cliente: «El proveedor realiza las copias del sistema incluido en el contrato. Estamos recopilando la última evidencia de restauración; no confirmamos el plazo de recuperación hasta revisarla».
Cuando no sabes una respuesta, una explicación concreta de lo pendiente es más útil que una afirmación genérica. Si hay obligaciones contractuales, valida su alcance con la persona responsable antes de comprometer fechas.
Cuándo puede ayudarte un CISO externo
Si las respuestas dependen de varios proveedores o revelan carencias sin responsable, un CISO externo puede coordinar evidencias y prioridades dentro del alcance contratado. Consulta cómo comparar el alcance y presupuesto.
Pedir ayuda con un cuestionario de seguridad. Indica el servicio afectado y el plazo, sin adjuntar información sensible en el primer mensaje.
Preparación adicional
El autodiagnóstico de INCIBE puede ayudarte a reflexionar sobre la situación de tu empresa. Ni ese primer ejercicio ni esta plantilla acreditan por sí solos el cumplimiento de un contrato o una certificación.
Publicado y actualizado el 13 de octubre de 2026. Plantilla Excel versión 3.0. Elaboración: RAZNAR Business Consulting.